i-SZBI

Rodzaje jednostek › Zakłady komunalne, wodociągi i spółki gminne

Wodociągi, zakład komunalny i spółka gminna a ustawa o KSC

Zaopatrzenie w wodę pitną i odprowadzanie ścieków to sektory wymienione w załączniku do ustawy o KSC. Status zakładu komunalnego zależy od formy, sektora i wielkości — samorządowy zakład budżetowy i spółka komunalna mogą mieć różny status.

W skrócie

  • Status zależy od formy, sektora i wielkości — status spółki komunalnej potwierdźcie z prawnikiem.
  • Zakres obowiązków i terminy zależą od statusu — sprawdźcie go w kalkulatorze.
  • RODO obowiązuje niezależnie od ustawy o KSC.

Czy ustawa o KSC Was obejmuje

Status spółki komunalnej potwierdźcie z prawnikiem. Kalkulator statusu przeprowadzi Was przez pytania o formę, sektor i wielkość, ale przypadku spółki komunalnej jeszcze nie ocenia.

Podstawy: ustawa o krajowym systemie cyberbezpieczeństwa (status zależy od formy, sektora i wielkości — status spółki komunalnej potwierdź z prawnikiem) · RODO (art. 32) · Krajowe Ramy Interoperacyjności (§ 19 rozporządzenia).

Co trzeba mieć

Zakres zależy od statusu. Podmiot kluczowy i podmiot ważny, który nie jest podmiotem publicznym, stosują pełny katalog środków z art. 8 ust. 1, a podmiot ważny będący podmiotem publicznym — listę kontrolną z Załącznika nr 4 (art. 8 ust. 3). Jednostka, która nie jest podmiotem kluczowym ani ważnym, stosuje RODO i przepisy właściwe dla swojej działalności.

Jakie dane i systemy chronicie

Od tego spisu zaczyna się system: inwentaryzacja aktywów, analiza ryzyka i uprawnienia dotyczą właśnie tych danych i systemów.

  • systemy sterowania stacjami uzdatniania wody, pompowniami i oczyszczalnią
  • zdalny odczyt wodomierzy i telemetria sieci
  • baza odbiorców, umowy i rozliczenia
  • zgłoszenia awarii i dane kontaktowe mieszkańców
  • dostęp zdalny serwisantów do urządzeń

Na co uważać

  • Panel sterowania stacją dostępny z internetu z hasłem fabrycznym.
  • Serwisant z całodobowym dostępem zdalnym i bez umowy określającej, co mu wolno.
  • Sieć sterowania i sieć biurowa bez oddzielenia.
  • Brak planu pracy ręcznej na wypadek awarii systemu sterowania.

Incydent a naruszenie danych — dwa różne zgłoszenia

Incydent poważny zgłasza się według ustawy o KSC do właściwego zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT). Naruszenie ochrony danych osobowych zgłasza się osobno — Prezesowi Urzędu Ochrony Danych Osobowych (UODO), bez zbędnej zwłoki, nie później niż w 72 godziny od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw lub wolności osób (art. 33 ust. 1 RODO). Każde naruszenie, także niezgłoszone, trzeba udokumentować (art. 33 ust. 5 RODO).

Jedno zdarzenie może wymagać obu zgłoszeń, na przykład zaszyfrowanie serwera z danymi osobowymi.

RODO

Baza odbiorców i rozliczenia to dane osobowe mieszkańców. Zabezpieczenia dobiera się do ryzyka (art. 32 RODO).

Krajowe Ramy Interoperacyjności

Jednostka realizująca zadania publiczne stosuje też rozporządzenie w sprawie Krajowych Ram Interoperacyjności (KRI). Zgodnie z § 19 tego rozporządzenia prowadzi system zarządzania bezpieczeństwem informacji, zgodnie z § 19 ust. 2 pkt 3 — okresowe analizy ryzyka utraty integralności, dostępności lub poufności informacji, a zgodnie z § 19 ust. 2 pkt 14 — audyt wewnętrzny co najmniej raz w roku. To osobny i starszy obowiązek, nie to samo co przegląd roczny z ustawy o KSC.

Rozporządzenie traci moc 23.02.2027 w wyniku zmiany art. 18 ustawy o informatyzacji (Dz.U. 2025 poz. 1158). Do tego dnia obowiązuje w całości, także coroczny audyt wewnętrzny.

Kto odpowiada

Odpowiada kierownik jednostki — tu: dyrektor zakładu albo zarząd spółki. Może powierzyć niektóre albo wszystkie obowiązki innej osobie za jej zgodą, na przykład koordynatorowi SZBI, ale odpowiedzialność zostaje przy kierowniku (art. 8c ust. 3). SZBI nie jest „zadaniem informatyka”.

Jeżeli jednostka jest podmiotem kluczowym albo ważnym, kierownik i osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzą udokumentowane szkolenie (art. 8e ustawy o KSC).

Jeżeli jednostka jest podmiotem kluczowym albo ważnym, osoby, które mają realizować zadania z art. 8 lub 11 ustawy o KSC — także z firmy zewnętrznej — przed ich rozpoczęciem przedstawiają informację z Krajowego Rejestru Karnego (art. 8f ustawy o KSC).

Jak pomaga i-SZBI

Menu portalu dopasowuje się do statusu jednostki: ekrany obowiązków, których jednostka nie ma, są oznaczone „nie dotyczy”.

  • lista kontrolna Załącznika nr 4 z dowodami i datami — widać, co jest zrobione, a co czeka
  • wzory polityk i procedur do uzupełnienia danymi jednostki
  • analiza ryzyka, Deklaracja Stosowania i Rejestr wyjątków
  • rejestr incydentów z zegarem: 24 godziny, 72 godziny i sprawozdanie końcowe
  • szkolenia pracowników z testem i potwierdzeniem udziału

Sprawdź status w kalkulatorze Przewodnik: wdrożenie SZBI krok po kroku Terminarz ustawy o KSC

Pytania

Czy mała spółka wodociągowa podlega ustawie o KSC?

Może podlegać bez względu na wielkość. Spółka gminy wykonująca zadania o charakterze użyteczności publicznej (np. dostarcza wodę) jest podmiotem publicznym i — jeżeli nie jest podmiotem kluczowym — podmiotem ważnym (art. 5 ust. 2 pkt 8). Duża spółka w sektorze wody pitnej albo ścieków może być podmiotem kluczowym (art. 5 ust. 1 pkt 1). Kalkulator tego przypadku jeszcze nie ocenia — status potwierdźcie z prawnikiem.

Zobaczcie portal od środka — demo jest wypełnione przykładowymi danymi i nie wymaga logowania.

Zobacz demo Zapytaj o ofertę

Inne jednostki:

Urzędy gmin i miast Starostwa powiatowe Szkoły podstawowe i ponadpodstawowe Przedszkola Żłobki i kluby dziecięce Centra kształcenia zawodowego Bursy, internaty i placówki opiekuńcze Poradnie psychologiczno-pedagogiczne GOPS, MOPS, PCPR i domy pomocy społecznej Biblioteki, domy kultury i muzea Przychodnie i samodzielne publiczne ZOZ Powiatowe urzędy pracy i centra usług wspólnych Straże gminne i miejskie

Portal pozwala prowadzić dokumentację, zaplanować i udokumentować przegląd oraz audyt WEWNĘTRZNY, które przeprowadza wyznaczona przez jednostkę osoba, i gromadzi dowody. Nie zastępuje audytu bezpieczeństwa, który podmiot kluczowy przeprowadza co najmniej raz na trzy lata, ani audytu nakazanego decyzją organu (art. 15 ustawy o KSC), ani certyfikacji — certyfikat ISO/IEC 27001 wydaje jednostka akredytowana. Obowiązki ustawowe spoczywają na podmiocie.